Vertrauliche Dokumente in KI-Tools: was Sie prüfen sollten

Bevor Sie eine Vorstandsvorlage oder Prüfungsunterlagen in eine KI-Strategieplattform laden, ersetzen Sie die Frage 'Ist das sicher?' durch eine Liste anzufordernder Unterlagen: einen Auftragsverarbeitungsvertrag, eine namentliche Liste der Unterauftragsverarbeiter, eine benannte Region der Datenhaltung, ein schriftliches Aufbewahrungs- und Löschkonzept und ein Dokument zu den Sicherheitsmaßnahmen.

Eine Vorstandsvorlage verlässt gleich das Haus. Ebenso eine Managementpräsentation, ein Satz interner Finanzzahlen oder eine Prüfungsakte, die nur vier Personen sehen sollten. Die Frage, die dem Hochladen natürlicherweise vorausgeht, lautet in irgendeiner Form: Ist das sicher? Das Problem an dieser Frage ist, dass sie darauf angelegt ist, schlecht beantwortet zu werden. Sie verlangt vom Anbieter ein Gefühl, und Anbieter sind geübt darin, Gefühle zu vermitteln. Beruhigend ist nicht dasselbe wie geprüft, und ein souveränes Gespräch über Verschlüsselung sagt nichts darüber, was mit Ihren Dokumenten nach der Ankunft geschieht.

Das britische Information Commissioner's Office bringt den zugrunde liegenden Punkt im Abschnitt zu Verträgen und Dritten seines Prüfrahmens für den Datenschutz bei künstlicher Intelligenz auf den Punkt: Ohne geeignete Verträge lassen sich Verstöße gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern weder bewerten noch zuordnen, und bei rein mündlichen Vereinbarungen fehlt es an Rechtsbehelfen, wenn gegen Anforderungen der UK-DSGVO verstoßen wird.^[1] Eine mündliche Zusicherung hat keinen Fehlerfall, auf den Sie zeigen können. Ein Dokument hat einen.

Dieser Beitrag wählt deshalb einen anderen Weg. Statt zu fragen, ob ein Anbieter sicher sei, übersetzt er jedes Anliegen des Käufers in ein bestimmtes Artefakt: ein Dokument, das entweder existiert, in lesbarer Form, oder eben nicht. Für jedes Anliegen, das bei vertraulichem Material zählt, gibt es ein benanntes Artefakt, das ein seriöser Anbieter bereits veröffentlicht haben sollte. Die folgenden Abschnitte behandeln fünf davon:

• Den Auftragsverarbeitungsvertrag und die Datennutzungsklauseln des Vertrags, die beantworten, ob der Anbieter Ihre Dokumente lediglich verarbeitet oder an ihnen trainiert.
• Eine benannte Region der Datenhaltung, die beantwortet, wo die Daten physisch liegen und was geschieht, wenn sie sich bewegen.
• Eine namentliche, veröffentlichte Liste der Unterauftragsverarbeiter, die beantwortet, wer das Material sonst noch berührt.
• Ein schriftliches Aufbewahrungs- und Löschkonzept, das beantwortet, was mit den Daten während des Einsatzes und nach dessen Ende geschieht.
• Ein Dokument zu den Sicherheitsmaßnahmen, das beantwortet, wer beim Anbieter Ihr Material einsehen kann und wie dieser Zugriff kontrolliert wird.

Zwei Vorbehalte vor der Liste. Erstens ist nichts hiervon Rechtsberatung: Die regulatorischen Punkte unten sind an benannte, geltende Instrumente gebunden, doch die tatsächlichen Vertragsbedingungen sollte Ihre Rechtsabteilung prüfen, bevor vertrauliches Material hochgeladen wird. Zweitens ist die Liste bewusst anbieterneutral. Sie funktioniert für jede KI-Strategieplattform, die Sie prüfen, einschließlich derjenigen, die diesen Beitrag veröffentlicht.

Die folgenreichste Unterscheidung in einem KI-Anbietervertrag verläuft zwischen der Verarbeitung Ihrer Dokumente zur Erstellung Ihrer Analyse und dem Vorbehalt von Rechten, an ihnen Modelle zu trainieren oder feinabzustimmen. Verarbeitung heißt: Der Anbieter liest Ihre Vorstandsvorlage, verknüpft sie, erzeugt das bestellte Ergebnis und nutzt das Material für nichts sonst. Training heißt: Der Anbieter darf das an Ihren Dokumenten Gelernte in Modelle einfließen lassen, die den Einsatz überdauern und anderen Kunden dienen. Das sind zwei verschiedene Verhältnisse zu Ihren vertraulichen Informationen, und Verträge machen den Unterschied nicht immer offensichtlich.

Morgan Lewis merkt in einer Analyse dazu, dass Anbieter zunehmend ausdrückliche Rechte zur Nutzung von Kundendaten für das Training ihrer KI-Modelle anstreben, an: In der Praxis sei die entscheidende Frage oft nicht, wem die zugrunde liegenden Daten gehören, sondern welche Rechte der Anbieter erhält, diese Daten über die Zeit zu nutzen, aufzubewahren und aus ihnen Wert zu ziehen, und selbst wenn ein Unternehmen das Eigentum an seinen Rohdaten behalte, könnten weit gefasste Trainingsrechte es dem Anbieter erlauben, Modelle zu schaffen, die daraus gewonnene Erkenntnisse dauerhaft enthalten.^[2] Eigentum an Rohdaten ist nicht gleich Kontrolle darüber, was ein Anbieter daraus ableitet. Dieselbe Analyse bezeichnet die mögliche Offenlegung vertraulicher Informationen und von Geschäftsgeheimnissen als eine der größten Sorgen und listet die zu klärenden Fragen auf: welche Datenkategorien für das Training genutzt werden, ob der Schutz von Vertraulichkeit und Geschäftsgeheimnissen erhalten bleibt und ob sich das Training auf bestimmte Datensätze beschränken lässt.^[2]

Das hier anzufordernde Artefakt ist der Vertrag selbst, an zwei Stellen gelesen. Erstens die Datennutzungs- und Trainingsklauseln im Hauptvertrag: Räumen sie dem Anbieter Rechte ein, Dienste zu verbessern, Produkte zu entwickeln oder aggregierte Datensätze zu erstellen, und lässt sich Training ausschließen oder auf eine Einwilligung begrenzen? Zweitens der Auftragsverarbeitungsvertrag, der regelt, wie mit personenbezogenen Daten in Ihren Dokumenten umgegangen wird, und der festhalten sollte, dass der Auftragsverarbeiter nur auf Ihre dokumentierte Weisung hin handelt. Morgan Lewis merkt zudem an, dass die rechtlichen Bedingungen nur einen Teil der Analyse ausmachen und technische Schutzmaßnahmen ebenso wichtig sind, und listet auf, was Organisationen verstehen sollten: ob Daten zwischen Kunden getrennt werden, ob das Training auf gemeinsam genutzten oder dedizierten Modellen erfolgt, ob der Anbieter Basismodelle Dritter einsetzt und ob Kundendaten von künftigen Trainingszyklen ausgenommen werden können.^[2] Ein Anbieter, der schriftlich klar erklärt, Kundendaten niemals zum Training von KI-Modellen zu verwenden, hat die Frage beantwortet. Ein Anbieter, der mit einem Absatz über Anonymisierung und Aggregation antwortet, hat Ihnen gesagt, dass Sie weiterlesen sollten.

Datenresidenz ist eine Tatsache, keine Formulierung. 'Sicherheit auf Bankniveau' und 'unternehmenstauglich' sagen nichts darüber, auf welchen Servern welchen Landes Ihre Dokumente liegen, welche Jurisdiktionen sie erreichen können oder was geschieht, wenn ein Support-Techniker in einer anderen Region eine Sitzung öffnet. Für europäische Käufer hat die Standortfrage eine besondere rechtliche Schärfe, denn die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, beschränkt Übermittlungen personenbezogener Daten in Drittländer, sofern nicht die Garantien ihres Kapitels V erfüllt sind. Enthalten Ihre Dokumente personenbezogene Daten, und eine Vorstandsvorlage oder eine interne Finanzdatei tut das fast immer, entscheidet der Ort, an dem der Anbieter hostet und verarbeitet, ob eine Übermittlungsbeschränkung überhaupt greift.

Die anzufordernden Artefakte sind entsprechend konkret. Erstens eine benannte Region der Datenhaltung im Vertrag oder in der Dokumentation des Anbieters: eine benannte Region, schriftlich, keine Marketingaussage. Zweitens, falls Verarbeitung oder Zugriff außerhalb des EWR stattfindet, das herangezogene Übermittlungsinstrument. Das Standardinstrument ist der Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679, der weiterhin gilt.^[3] Besteht die Antwort des Anbieters auf 'Wo liegen die Daten?' in einem Gespräch über globale Infrastruktur statt in einer benannten Region in einem Dokument, ist auch das eine Antwort.

Eine Feinheit lohnt sich zu kennen, bevor Sie die Unterlagen des Anbieters lesen. Die am 18. Juni 2021 in endgültiger Fassung angenommenen Empfehlungen 01/2020 des Europäischen Datenschutzausschusses zu Maßnahmen, die Übermittlungsinstrumente ergänzen, legen einen schrittweisen Fahrplan für Datenexporteure fest, der mit der Kenntnis der eigenen Übermittlungen beginnt, und stellen fest, dass auch der Fernzugriff aus einem Drittland, etwa in Supportfällen, und die Speicherung in einer Cloud außerhalb des EWR als Übermittlung gelten.^[4] Ein Anbieter kann in der EU hosten und dennoch eine Übermittlung auslösen, wenn Beschäftigte oder Unterauftragsverarbeiter außerhalb des EWR die Daten erreichen können. Fragen Sie nach dem Zugriff, nicht nur nach der Speicherung.

Hinter jeder KI-Strategieplattform steht eine Lieferkette: Hosting, Modellanbieter, Support-Werkzeuge, Analysedienste. Jeder davon ist eine weitere Partei, die Ihre Dokumente berühren kann, und jeder ist ein Punkt, an dem Ihre Vertraulichkeit von jemandem abhängt, mit dem Sie keinen Vertrag geschlossen haben. Die Frage 'Wer kann unsere Daten sonst noch sehen?' ist deshalb nicht paranoid, sie ist die Lieferkettenfrage, und sie hat unter der DSGVO eine bestimmte rechtliche Gestalt.

Artikel 28 Absatz 2 DSGVO bestimmt, dass der Auftragsverarbeiter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch nimmt und dass er im Fall einer allgemeinen schriftlichen Genehmigung den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter informiert und dem Verantwortlichen damit die Möglichkeit gibt, gegen derartige Änderungen Einspruch zu erheben.^[5] Artikel 28 Absatz 4 verlangt, dass demselben weiteren Auftragsverarbeiter, der für bestimmte Verarbeitungstätigkeiten herangezogen wird, dieselben Datenschutzpflichten auferlegt werden, und bestimmt, dass der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters voll verantwortlich bleibt, wenn dieser seinen Datenschutzpflichten nicht nachkommt.^[5] Im Klartext: Der Anbieter darf Ihre Dokumente nicht ohne Ihre Genehmigung auslagern, muss Sie über Änderungen der Kette informieren und haftet weiter für das, was seine Unterauftragsverarbeiter tun.

Das anzufordernde Artefakt ist eine namentliche Liste der Unterauftragsverarbeiter, veröffentlicht und datiert, zusammen mit dem Melde- und Widerspruchsmechanismus für Änderungen. 'Veröffentlicht und datiert' wiegt schwerer, als es klingt. Eine im Gespräch beschriebene Liste lässt sich später nicht prüfen, nicht mit dem vergleichen, was der Anbieter im vergangenen Quartal sagte, und gibt Ihnen nichts, dem Sie widersprechen könnten. Eine veröffentlichte Liste mit Ankündigungsfrist zeigt Ihnen genau, wer heute in der Kette ist, und gibt Ihnen ein definiertes Zeitfenster für den Widerspruch, wenn sie sich ändert. Eine prüfbare Antwort sieht so aus: Der Auftragsverarbeitungsvertrag verpflichtet den Anbieter, Kunden über neue Unterauftragsverarbeiter durch Aktualisierung der veröffentlichten Liste zu informieren, legt schriftlich eine Widerspruchsfrist fest und benennt die Region, in der verarbeitet werden darf.

Die meisten Käufer denken darüber nach, was mit ihren Dokumenten beim Hochladen geschieht. Weniger denken darüber nach, was beim Ende des Einsatzes geschieht, und in diesem zweiten Moment wird Vertraulichkeit still gewonnen oder verloren. Ein Dokument, das drei Jahre nach Projektabschluss in den Sicherungen eines Anbieters liegt, ist noch immer ein Dokument, das Ihr Haus verlassen hat. Die Prüffrage lautet nicht nur 'Sind die Daten jetzt sicher?', sondern 'Wer entscheidet, wann sie aufhören zu existieren, und kann ich das überprüfen?'

Das anzufordernde Artefakt ist ein schriftliches Aufbewahrungs- und Löschkonzept mit Aufbewahrungsfristen, dem Umgang mit Sicherungen und Löschfristen. Nach der DSGVO ist das keine freiwillige Höflichkeit: Artikel 28 Absatz 3 Buchstabe g verlangt, dass der Auftragsverarbeiter nach Wahl des Verantwortlichen nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten löscht oder zurückgibt und vorhandene Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.^[5] Die Regelungen zum Vertragsende sollten mit dem veröffentlichten Konzept übereinstimmen: Steht im Vertrag Löschung bei Beendigung und im Konzept Archivierung für einen unbestimmten Zeitraum, haben Sie eine Lücke gefunden, die sich vor der Unterschrift klären lässt, nicht danach.

Zwei Details verdienen beim Lesen des Konzepts besondere Aufmerksamkeit. Erstens abgeleitete Artefakte. Ihre Rohdokumente sind nicht das Einzige, was eine Plattform erzeugt: Einbettungen, Analyseergebnisse, Protokolle und Exporte leiten sich alle aus Ihrem Material ab, und ein Löschkonzept, das nur Quelldateien erfasst, lässt die Ableitungen zurück. Fragen Sie, was das Konzept zu jedem davon sagt. Zweitens die Mechanik des Vertragsendes. Ein sauber formulierter Auftragsverarbeitungsvertrag sieht vor, dass der Auftragsverarbeiter vor Ablauf der Vereinbarung nach Wahl und Weisung des Kunden alle personenbezogenen Daten sicher löscht oder zurückgibt und dass der Kunde eine schriftliche Bestätigung der nach Abschluss der Verarbeitung getroffenen Maßnahmen verlangen kann. Eine schriftliche Löschbestätigung ist der Unterschied zwischen dem Glauben, die Daten seien fort, und dem Wissen, dass sich jemand schriftlich verpflichtet hat, es Ihnen mitzuteilen.

Verschlüsselung schützt Ihre Dokumente vor Außenstehenden. Zugriffskontrolle schützt sie vor Innenstehenden, und bei vertraulichem Material ist die Innenfrage häufig die schärfere: Welche Beschäftigten des Anbieters können eine Vorstandsvorlage öffnen, unter welchen Bedingungen und mit welchem Nachweis darüber? Eine Plattform kann am Perimeter gut verteidigt sein und intern dennoch standardmäßig breiten Zugriff erlauben. Das Artefakt, das dies beantwortet, ist ein Dokument zu den Sicherheitsmaßnahmen, das rollenbasierten Zugriff, Berechtigungen nach dem Prinzip der geringsten Rechte und Zugriffsprotokollierung im operativen Detail beschreibt.

Die DSGVO gibt diesem Dokument ein rechtliches Rückgrat. Artikel 28 Absatz 3 Buchstabe b verlangt, dass der Verarbeitungsvertrag festlegt, dass der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.^[5] Artikel 28 Absatz 3 Buchstabe h verlangt, dass der Auftragsverarbeiter dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.^[5] Zusammen gelesen bedeuten diese Vorschriften, dass Ihnen zusteht zu sehen, wie der Anbieter internen Zugriff beschränkt und protokolliert, und nicht bloß zu hören, dass er beschränkt sei.

Praktisch empfiehlt es sich, das Dokument zu den Sicherheitsmaßnahmen zusammen mit der Prüfrechtsklausel des Vertrags zu lesen, statt eine Zusammenfassung von Zertifizierungen zu akzeptieren. Eine Zertifizierungsaussage ist eine Aussage über einen Prozess zu einem Zeitpunkt; das Sicherheitsdokument beschreibt die Kontrollen, die täglich auf Ihre Daten wirken. Ein gut vorbereiteter Anbieter veröffentlicht dieses Material, etwa auf einer Seite zu Integrationen und Sicherheit, die rollenbasierte Zugriffskontrolle mit Berechtigungen nach dem Prinzip der geringsten Rechte, exportierbare Zugriffsprotokolle und je Einsatz konfigurierbare Aufbewahrungsregeln beschreibt. Und wo ein Anbieter eine Zertifizierung geltend macht, prüfen Sie die Angabe anhand der eigenen veröffentlichten Unterlagen des Anbieters, statt sie zu unterstellen: Fragen Sie, was die Zertifizierung abdeckt, welche Gesellschaft sie hält und ob der Geltungsbereich die Plattform umfasst, die Ihnen tatsächlich verkauft wird. Ein seriöser Anbieter hat die Antworten bereits veröffentlicht.

Früher oder später wird ein Anbieter in einer Prüfung eine dieser Fragen nur im Gespräch beantworten. Die Reaktion darauf ist nicht zu streiten, sondern die Antwort vor der Unterschrift schriftlich zu verlangen. Der Prüfrahmen des ICO für KI-Systeme macht den Grund ausdrücklich: Bei rein mündlichen Vereinbarungen fehlt es an Rechtsbehelfen, wenn gegen Anforderungen der UK-DSGVO verstoßen wird, und ohne geeignete Verträge lassen sich Verstöße gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern weder bewerten noch zuordnen.^[1] Wer das Dokument nicht vorlegen kann, hat die Frage trotzdem beantwortet. Die Antwort lautet, dass das Artefakt nicht existiert oder in einer Form existiert, die der Anbieter Sie lieber nicht lesen lässt. So oder so haben Sie etwas Verwertbares erfahren, und zwar vor dem Hochladen, nicht danach.

Die vollständige Liste, in der Reihenfolge, in der eine ernsthafte Prüfung ablaufen sollte:

1. Auftragsverarbeitungsvertrag und Datennutzungsklauseln: Trainiert der Anbieter an Ihren Daten, und lässt sich Training ausschließen?
2. Benannte Region der Datenhaltung: eine benannte Region im Vertrag oder in der Dokumentation, dazu das Übermittlungsinstrument, falls Verarbeitung oder Zugriff außerhalb des EWR erfolgt.
3. Namentliche, veröffentlichte, datierte Liste der Unterauftragsverarbeiter: wer in der Kette ist und welcher Melde- und Widerspruchsmechanismus für Änderungen gilt.
4. Schriftliches Aufbewahrungs- und Löschkonzept: Aufbewahrungsfristen, Umgang mit Sicherungen, Löschfristen, Behandlung abgeleiteter Artefakte sowie Rückgabe oder Löschung zum Vertragsende mit schriftlicher Bestätigung.
5. Dokument zu den Sicherheitsmaßnahmen: rollenbasierter Zugriff, Berechtigungen nach dem Prinzip der geringsten Rechte und Zugriffsprotokollierung, gelesen zusammen mit der Prüfrechtsklausel des Vertrags.

Das ist der Maßstab, gegen den Decisity gebaut wurde. Als KI-native Strategieplattform, weder Beratung noch Sicherheitsanbieter, erwartet Decisity diese Fragen und beantwortet sie mit veröffentlichten Unterlagen statt mit Beruhigung: einem veröffentlichten Auftragsverarbeitungsvertrag mit Verpflichtungen zur Verarbeitung in der EU und im EWR, einer Liste der Unterauftragsverarbeiter mit definierter Widerspruchsfrist und einer Sicherheitsseite, die Zugriffs-, Protokollierungs- und Aufbewahrungskontrollen im operativen Detail benennt. Für europäische Käufer, die vertrauliches Strategiematerial handhaben, erstreckt sich diese Haltung auf europäische Datenresidenz als erklärtes Konstruktionsprinzip statt als Verkaufsargument, auch für Mittelstand und mittelgroße Unternehmen, deren Vorstandsunterlagen das verlangen. Derselbe Maßstab gilt für jeden Anbieter, den Sie prüfen, einschließlich dieses: Lesen Sie die Unterlagen, und wo eine Aussage zählt, prüfen Sie sie gegen das, was der Anbieter tatsächlich veröffentlicht hat.

Ein abschließender Punkt gehört Ihrer Rechtsabteilung und nicht diesem Beitrag: Lassen Sie die Vertragsbedingungen prüfen, einschließlich des Auftragsverarbeitungsvertrags, der Prüfrechtsklausel und der Haftungsregelungen, bevor vertrauliches Material hochgeladen wird. Die obige Liste sagt Ihnen, welche Unterlagen Sie ihr vorlegen. Ihre Freigabe sagt Ihnen, dass die Bedingungen tragen.

• ICO: Contracts and third parties (AI and data protection audit framework)
• Morgan Lewis: Key Considerations When Allowing a Vendor to Train Its AI Models on Customer Data
• Commission Implementing Decision (EU) 2021/914 on standard contractual clauses
• EDPB Recommendations 01/2020 on measures that supplement transfer tools
• GDPR Article 28: Processor